代码签名:我应该签署哪些文件类型，为什么？

Question

我有一个全新的代码签名证书，并且一直想知道我应该签署哪些文件。

显然，安装 .msi 包和所有运行提升的 .exe 应该签名以避免“未知发布者”警告，但我应该签名其他可执行文件，例如.exe 不需要提升、.dll 或 .oxc？

微软自己似乎对此处理不一致:

在 Office 2007 中，所有可执行文件都被分配了

在 Visual Studio 2008 中，所有 .exe 和许多 .dll 都已签名，但是，也有很多未签名的 DLL(显然是强命名的程序集，也许他们认为强命名就足够了)

在 Windows (7) 中，可执行文件和 dll 都没有签名(甚至不需要 UAC 的可执行文件，如 mmc.exe!)

Answer 1

我想你已经回答了你自己的问题，只在需要的地方签名以避免提示。

只有几个原因我会考虑签署所有内容。

它可能有某种优势
与防病毒供应商处理
您的文件更值得信赖，
因此更少的支持/安装
麻烦。

它将文件标记为对一般用户更值得信赖，例如，当我使用 MS 的自动运行清理受病毒感染的系统时，我倾向于寻找没有签名的劣质文件，它会伸出一英里。

你想看起来更专业。

我不知道检查签名有什么开销，所以旧系统可能会更慢。此外，如果您的证书来自便宜的证书供应商，则根 CA 可能不包含在旧平台(XP pre SP2 等)中。

哦，是的，我也只会将它作为构建的一部分(集成到 MSBuild 或构建服务器中)，因为它可能会变得乏味。

请记住不要让其他任何人访问您的 key ，否则您将被撤销它，并且安装可能会突然停止工作。因此，请为开发人员使用自签名证书，并将真正的 key 锁定在构建服务器上。

有点啰嗦，但我认为没有正确的答案。